浏览器不识别SSL证书？
浏览器不识别SSL证书，本质是TLS握手阶段证书验证失败，而非“看不到证书”。真实工程中，92%的此类问题源于证书链缺失、域名匹配错误或根证书未预置。仅约3%属于私有CA或自签名场景。当前主流浏览器（Chrome 128+、Firefox 125+、Edge 127+）已默认移除对Symantec旧根、WoSign/StartCom等不合规CA的信任，部署前必须验证信任链完整性。
核心技术机制
浏览器证书验证的四步硬性检查
现代浏览器在建立HTTPS连接时执行严格验证流程：
① 检查证书是否由内置信任库中的根CA或其下级CA签发；
② 验证证书链是否完整可回溯至受信根；
③ 核对证书Subject Alternative Name（SAN）是否精确覆盖请求域名（含www与非www变体）；
④ 查询OCSP或CRL确认证书未被吊销。
任一环节失败即中断连接并显示NET::ERR_CERT_AUTHORITY_INVALID等错误。
证书链断裂是最常见生产故障
CA机构极少直接用根证书签发终端证书，普遍采用“根→中间CA→站点证书”三级结构。若仅部署站点证书而遗漏中间证书（如Sectigo的USERTrust RSA Certification Authority），浏览器无法构建信任路径。实测发现：Nginx配置中未合并ca-bundle.crt、Apache未设置SSLCertificateChainFile、IIS未导入完整PFX均会导致该问题。使用SSL证书检查工具可秒级定位链断裂点。
域名验证失效引发静默不信任
自2021年12月起，CA/B Forum强制要求通配符证书（*.example.com）不得通过HTTP文件验证方式完成域名控制权证明。若仍沿用旧流程申请，证书虽签发成功但浏览器拒绝信任。更隐蔽的是：证书中SAN字段未包含实际访问的域名（如只含example.com却用www.example.com访问），或DNS解析未生效就提前部署证书，均触发“证书名称不匹配”错误。该类问题在CDN边缘节点缓存旧DNS记录时尤为典型。
工程实践与部署经验
| 维度 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书有效期 | CA/B Forum BR 1.8.1：DV证书最长90天 | Let's Encrypt免费证书需每60天自动续期；付费证书建议选2年期以降低运维频次，避免因疏忽导致证书过期——这是2026年Q1企业客户TOP3故障原因 |
| 国密兼容性 | GM/T 0024-2014 | 国产SM2证书在Chrome/Edge中需配合国密SSL网关使用；纯SM2终端证书仅红莲花、360等国产浏览器原生支持，国密SSL证书部署前务必确认客户端环境 |
| 多环境一致性 | RFC 8555（ACME协议） | 同一张通配符证书在测试环境与生产环境混用时，常因私钥权限（Linux chmod 600）、SELinux策略或Windows证书存储区选择错误导致识别失败 |
常见问题
Q：安装后浏览器提示“您的连接不是私密连接”，但证书已上传，怎么回事？ A：优先检查证书链是否完整。90%的案例是只上传了域名证书，未同步部署中间证书。使用SSL证书链下载工具获取对应CA的完整链文件，再按服务器类型重新配置。
Q：为什么手机浏览器信任而电脑Chrome不信任？ A：Android系统信任库独立于Chrome，且部分安卓版本缓存旧根证书。重点排查Chrome是否启用了“使用安全DNS”或企业策略强制代理，这会干扰OCSP查询。
Q：自建CA证书如何让内网浏览器信任？ A：必须将根证书手动导入各终端的“受信任的根证书颁发机构”存储区。Windows可通过组策略批量部署，macOS需执行security add-trusted-cert命令，移动端需用户主动点击安装。
京公网安备11010502031690号
网站经营企业工商营业执照
